Wie die Hamburger Datenschutzaufsicht in ihrem Tätigkeitsbericht für 2024 (s. 194ff) berichtet, kam bei der Planung eines kostenlosen Deutschlandtickets für alle in Hamburg wohnenden Schülerinnen und Schüler bis zur Vollendung des 15. Lebensjahres die Frage auf, wie von Seiten des Hamburger Verkehrsverbundes (hvv) die Berechtigung der Empfänger des Tickets überprüft werden könnte. Für den Hamburger Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI), der in der Planungsphase eingebunden wurde, ergaben sich daraus verschiedene datenschutzrechtliche Fragen. Zu Beginn verfolgte der hvv das Ziel, den Bestellprozess für Schüler:innen komplett digital zu gestalten – unabhängig vom Alter. Geplant war, eine digitale Prüfung der Berechtigung in Echtzeit durchzuführen, indem die Systeme der Behörde für Schule und Berufsbildung (BSB) und des hvv direkt verbunden werden. Dafür sollte der hvv Zugriff auf vorhandene Datenquellen wie DIVIS, Melderegister oder das Zentrale Schülerregister (ZSR) erhalten. Dieses Ansinnen lehnte der HmbBfDI ab, da das Zentrale Schülerregister besonders schützenswerte Daten von Kindern enthält, wozu auch Adressen gehören, die eine Auskunftssperre haben. Solche Daten müssen besonders sorgfältig geschützt werden. Deshalb ist der HmbBfDI der Meinung, dass der hvv keinen Zugriff auf diese Daten für die Berechtigungsprüfung erhalten sollte. Der hvv arbeitete daraufhin ein anderes Verfahren zur Berechtigungsprüfung aus, bei welchem die Berechtigung bei Schülerinnen und Schülern von 6 bis 15 Jahren zunächst anhand des Geburtsdatums geprüft wird. Die Ticketkarte wird anschließend postalisch versendet, wodurch der hvv sicherstellen kann, dass es sich um Schülerinnen und Schüler mit Wohnort Hamburg handelt. Bei Schülerinnen und Schülern ab 16 Jahren, die nicht vollumfänglich von der Schulpflicht erfasst sind, erfolgt der Nachweis der Berechtigung über einen von der Schule ausgestellten Berechtigungsnachweis. Bei dem nun umgesetzte Verfahren hat der HmbBfDI keine Bedenken, da die Rechte und Freiheiten der betroffenen Personengruppen gewahrt bleiben.
Bewertung
Interessant ist an diesem Fall, dass es dabei nicht primär um Rechtsgrundlagen geht wie etwa beim automatisierten Abruf von Stammdaten in Rheinland Pfalz, sondern um Risiken, welche sich für die Betroffenen grundsätzlich aus einem Zugriff externer Stellen ergeben können. Ein digitaler Abgleich wie der hvv ihn sich vorstellte, ist sicherlich praktisch, doch wie die nun umgesetzte Lösung zeigt, ist die Berechtigungsüberprüfung auch mit einfacheren Mitteln möglich und erfordert keinen risikobehafteten Zugriff auf die Daten der Schülerinnen und Schüler.